Ungepatchte Android-Schwachstelle StrandHogg ausgenutzt

[English]Schlechte Nachrichten für Android-Nutzer, die viele Apps sammeln. Es gibt eine ungepatchte Android-Schwachstelle mit dem Namen StrandHogg. Diese wird bereits durch schädliche Apps ausgenutzt.

Ich bin bereits gestern auf diese Schwachstelle über nachfolgenden Tweet aufmerksam geworden. Berichte gibt es auch auf The Hacker News und bei heise.

Android: New StrandHogg vulnerability is being exploited in the wild

> Promon has identified a new Android OS vulnerability
> Lookout confirmed that 36 apps have used it in the wild
> StrandHogg affects all Android OS versionshttps://t.co/SVqzGNctAR pic.twitter.com/m72ddNzkoZ

— Catalin Cimpanu (@campuscodi) December 2, 2019

StrandHogg nutzt eine Lücke im Android-Multitasking-Mechanismus, um Berechtigungen zu umgehen. Eine Schad-App kann sich so tarnen und Berechtigungen anfordern, von denen der Nutzer nichts ahnt. Entdeckt wurde die StrandHogg genannte Sicherheitslücke von Sicherheitsforschern von promon, die das Ganze hier beschreiben. Die Schwachstelle ist ein echter Hammer:

• Alle Versionen von Android, inkl. Android 10, sind betroffenen, es gibt keinen Patch.
• Grundsätzlich sind alle 500 der populärsten Android-Apps gefährdet.
• Es gibt bereits Malware, die die Schwachstelle ausnutzt.
• Es wurden 36 bösartige Apps, die die Schwachstelle ausnutzen, wurden identifiziert.
• Die Schwachstelle kann ohne Root-Zugriff ausgenutzt werden.

Der Permission Harvesting Exploit ist nur ab Android 6.0 (aber bis Android 10) möglich. Wenn eine schädliche App auf dem Android-Gerät installiert wird, kann diese über StrandHogg:

• den Benutzer über das Mikrofon abhören.
• Fotos durch die Kamera aufnehmen
• SMS-Nachrichten lesen und senden
• Telefongespräche führen und/oder aufzeichnen
• Anmeldeinformationen abgreifen
• Zugriffe auf alle privaten Fotos und Dateien auf dem Gerät ausführen
• Standort und GPS-Informationen abrufen
• Zugriff auf die Kontaktliste erhalten
• Zugriff auf Telefonprotokolle erhalten

Also quasi der Super-GAU, denn durch die Schwachstelle kann Schadcode alle Berechtigungen für Apps, die in Android gesetzt sind, umgehen.

Lookout, ein Partner von Promon, bestätigte, dass sie 36 bösartige Anwendungen identifiziert haben, die die Schwachstelle bereits ausnutzen. Darunter befanden sich auch Varianten des bereits 2017 beobachteten BankBot-Bank-Trojaners. Während des Tests fanden Promon-Forscher heraus, dass alle 500 beliebtesten Apps (im Ranking der App Intelligence Company 42 Matters) für StrandHogg anfällig sind.

Die einzige gute Nachricht: Der Benutzer muss die App mit dem Schadcode selbst installieren, damit diese StrandHogg ausnutzen kann. Wer also nur wenige Apps aus vertrauenswürdigen Quelle aus dem Google Play Store bezieht, sollte halbwegs sicher sein.

Allerdings ist davon auszugehen, dass Dropper-Apps schon bald im Play Store auftauchen. Diese laden dann den Schadcode zum Ausnutzen von StrandHogg nach. Und Malware, die bereits auf Android-Geräten vom Hersteller über vorinstallierte Apps ausgeliefert wird, könnte StrandHogg nutzen. Der nachfolgende Tweet weist auf einen Artikel hin, der sich mit entsprechenden Downloadern befasst.

Check out this article: The Role of Evil Downloaders in the Android Mobile Malware Kill Chain https://t.co/SrXMymbM1h

— Aryeh Goretsky (@goretsky) December 2, 2019